Superviser Cisco Firepower FTD avec Elastic Fleet

Mise à jour le 12 juil. 2026

Illustration avec les logos Elastic et Cisco entourés de cœurs pour la supervision Cisco Firepower FTD

Ce guide suppose que vous disposez déjà d’une Elastic Stack fonctionnelle avec un Fleet Server. Si nécessaire, vous pouvez suivre ce merveilleux 😎 tutoriel pour installer une Elastic Stack complète. Dans cet article, nous allons voir comment superviser un pare-feu Cisco Firepower FTD avec Elastic Fleet, Elastic Agent et Kibana.

Dans ce tutoriel, nous allons installer l’intégration Cisco FTD sur le même serveur Debian Linux que celui sur lequel Elasticsearch, Kibana et le Fleet Server sont déjà installés.

Architecture réseau

Comme le montre le schéma d’architecture réseau, l’Elastic Agent sera installé sur le serveur Elasticsearch. Le pare-feu Cisco Firepower FTD enverra ses logs à Elastic Fleet via le protocole Syslog sur le port 9003/udp. Ce port d’écoute peut être modifié si nécessaire.

Cisco Firepower FTD envoyant des logs syslog vers Elastic Agent, Fleet Server, Elasticsearch et Kibana — Architecture de supervision Cisco Firepower FTD avec Elastic Fleet, Elastic Agent, Elasticsearch et Kibana.

Ajouter l’intégration Cisco FTD dans Kibana

Commencez par ouvrir Kibana et ajoutez l’intégration Cisco FTD afin que votre Elastic Stack puisse collecter et analyser les logs envoyés par votre pare-feu Cisco Firepower FTD. Cette intégration n’inclut toutefois pas de dashboard Kibana préconfiguré. Nous créerons donc notre propre dashboard plus loin dans ce guide.

Dans Kibana, ouvrez le menu principal, puis allez dans Management → Integrations :

Menu principal de Kibana affichant la section Management et l’entrée Integrations — Ouverture du menu Integrations dans Kibana.

Recherchez FTD, puis cliquez sur l’intégration Cisco FTD :

Page Integrations de Kibana affichant une recherche FTD et le résultat Cisco FTD — Recherche de l’intégration Cisco FTD dans Kibana.

Cliquez sur le bouton Add Cisco FTD :

Page de l’intégration Cisco FTD dans Kibana affichant le bouton Add Cisco FTD — Ajout de l’intégration Cisco FTD dans Kibana.

Saisissez un nom pour l’intégration Cisco FTD, puis faites défiler la page vers le bas :

Formulaire Kibana affichant le champ de nom pour l’intégration Cisco FTD — Nom de l’intégration Cisco FTD dans Kibana.

Saisissez l’adresse IP de votre serveur Elastic Agent, puis conservez ou modifiez le port UDP utilisé pour recevoir les logs syslog Cisco Firepower FTD :

Paramètres de l’intégration Cisco FTD dans Kibana affichant l’hôte UDP et le port pour les logs syslog — Configuration de l’hôte et du port UDP utilisés pour collecter les logs syslog Cisco FTD.

En bas de la page, sélectionnez l’onglet Existing hosts, choisissez la Fleet Server Policy, puis cliquez sur Save and continue :

Page Kibana affichant l’onglet Existing hosts, la sélection Fleet Server Policy et le bouton Save and continue — Ajout de l’intégration Cisco FTD à une policy Fleet existante.

Enfin, cliquez sur Save and deploy changes pour appliquer l’intégration Cisco FTD à la policy Fleet sélectionnée :

Boîte de dialogue de confirmation Kibana affichant le bouton Save and deploy changes pour l’intégration Cisco FTD — Déploiement des changements de l’intégration Cisco FTD sur la policy Fleet sélectionnée.

Sur le serveur Elasticsearch, vérifiez qu’Elastic Agent écoute bien sur le port syslog Cisco FTD configuré :

root@elk:~# ss -taun | grep 9003
udp   UNCONN    0      0                                  192.168.1.200:9003                 0.0.0.0:*
tcp   LISTEN    0      4096                               192.168.1.200:9003                 0.0.0.0:*

Configurer le Cisco Firepower FTD

Nous allons maintenant configurer le pare-feu Cisco Firepower FTD afin qu’il transfère les logs du trafic filtré vers l’Elastic Agent, qui écoute sur 192.168.1.200 et udp/9003.

Allez dans Objects > Syslog Servers, puis cliquez sur le bouton Add :

Page Syslog Servers de Cisco Firepower FTD affichant le bouton Add — Ajout d’un objet serveur syslog dans Cisco Firepower FTD.

Saisissez les informations du serveur syslog, en utilisant l’adresse IP de l’Elastic Agent qui recevra les logs Cisco FTD, puis cliquez sur OK :

Boîte de dialogue Cisco Firepower FTD affichant l’adresse IP du serveur syslog, le protocole UDP et le port 9003 — Configuration du serveur syslog utilisé pour envoyer les logs Cisco FTD vers Elastic Agent.

Maintenant que le serveur Elastic Agent a été déclaré comme objet serveur Syslog, allez dans System Settings > Logging Settings :

Menu System Settings de Cisco Firepower FTD affichant l’entrée Logging Settings — Ouverture du menu Logging Settings dans Cisco Firepower FTD.

Configurez les Logging Settings comme indiqué ci-dessous, puis cliquez sur Save :

Page Logging Settings de Cisco Firepower FTD avec serveur syslog, niveau de sévérité et bouton Save — Configuration des paramètres de journalisation Cisco Firepower FTD pour le transfert syslog.

Allez dans Policies, puis modifiez la règle de contrôle d’accès pour laquelle vous souhaitez activer la journalisation du trafic :

Politique de contrôle d’accès Cisco Firepower FTD affichant le bouton de modification d’une règle firewall — Modification d’une règle de contrôle d’accès dans Cisco Firepower FTD.

Dans l’onglet Logging, activez la journalisation des connexions, sélectionnez le Syslog Server précédemment configuré, puis cliquez sur OK :

Onglet Logging d’une règle Cisco Firepower FTD affichant la journalisation des connexions et la sélection du serveur syslog — Activation de la journalisation des connexions pour une règle de contrôle d’accès dans Cisco Firepower FTD.

Créer un dashboard Kibana pour Cisco Firepower FTD

Contrairement à certaines autres intégrations Elastic, l’intégration Cisco FTD n’inclut pas de dashboard Kibana préconfiguré. Nous allons donc créer un dashboard personnalisé pour superviser les logs de trafic Cisco Firepower FTD.

Dans Kibana, ouvrez le menu principal, puis allez dans Analytics → Dashboards :

Menu principal de Kibana affichant la section Analytics et l’entrée Dashboards — Ouverture du menu Dashboards dans Kibana.

Cliquez sur Create dashboard pour créer un nouveau dashboard Kibana :

Page Dashboards de Kibana affichant le bouton Create dashboard — Création d’un nouveau dashboard Kibana.

Carte géographique par pays

L’objectif est d’identifier les pays qui génèrent ou reçoivent du trafic à travers le pare-feu Cisco Firepower FTD.

Résultat attendu :

Carte Kibana affichant le volume de trafic Cisco FTD par pays — Visualisation du trafic Cisco FTD par pays dans Kibana Maps.

Dans le nouveau dashboard, cliquez sur Create visualization pour ajouter un panneau de carte :

Éditeur de dashboard Kibana affichant l’option Create visualization — Création d’un nouveau panneau de visualisation dans le dashboard Kibana.

Cliquez sur Add layer, puis sélectionnez Choropleth :

Interface Kibana Maps affichant le bouton Add layer et l’option Choropleth — Ajout d’une couche choroplèthe dans Kibana Maps.

Configurez la Boundaries source et la Statistics source, puis cliquez sur Add and continue. Une fois la carte affichée, cliquez sur Save and return :

Paramètres Kibana Maps affichant les limites World Countries et les logs Cisco FTD associés par pays de destination — Configuration d’une couche choroplèthe pour cartographier les logs Cisco FTD par pays de destination.

Jauge du trafic bloqué

L’objectif est de surveiller le trafic bloqué quasi en temps réel à partir des logs Cisco Firepower FTD.

Résultat attendu :

Jauge Kibana affichant la quantité de trafic réseau bloqué à partir des logs Cisco FTD — Jauge affichant le trafic réseau bloqué à partir des logs Cisco FTD dans Kibana.

Cliquez sur Add panel, sélectionnez New panel, puis choisissez Lens :

Éditeur de dashboard Kibana affichant le menu Add panel, l’option New panel et la visualisation Lens — Ajout d’un nouveau panneau Lens au dashboard Kibana.

Sélectionnez Gauge, choisissez la vue de données logs-*, puis configurez le champ Metric :

Kibana Lens affichant une visualisation de type jauge filtrée sur les logs de trafic bloqué Cisco FTD — Configuration d’une jauge Kibana Lens pour afficher le trafic bloqué Cisco FTD.

Ajustez les valeurs Minimum value et Maximum value en fonction du volume habituel de trafic bloqué sur votre réseau :

Configuration d’une jauge Kibana affichant les valeurs minimale et maximale pour le trafic bloqué — Ajustement des valeurs minimale et maximale de la jauge du trafic bloqué dans Kibana.

Principaux ports sources par protocole

L’objectif est d’identifier les ports sources les plus fréquemment utilisés dans les logs de trafic Cisco Firepower FTD.

Résultat attendu :

Graphique circulaire Kibana affichant les ports sources les plus utilisés dans les logs de trafic Cisco FTD — Graphique circulaire affichant les ports sources les plus fréquemment utilisés dans les logs de trafic Cisco FTD.

Cliquez sur Add panel, puis sélectionnez Visualization :

Éditeur de dashboard Kibana affichant le menu Add panel et l’option Visualization — Ajout d’un panneau de visualisation au dashboard Kibana.

Configurez la visualisation Pie en utilisant network.transport comme champ de découpage et Records comme métrique :

Configuration d’un graphique circulaire Kibana Lens utilisant network.transport comme découpage et Records comme métrique — Configuration d’un graphique circulaire Kibana pour afficher le trafic Cisco FTD par transport réseau.

Ajoutez un second champ de découpage, puis sélectionnez source.port et classez les principales valeurs par Firewall flows :

Configuration d’un graphique circulaire Kibana Lens affichant source.port comme champ de découpage classé par firewall flows — Configuration du graphique circulaire pour afficher les principaux ports sources à partir des logs de trafic Cisco FTD.

Principaux ports de destination

L’objectif est d’identifier les ports de destination les plus fréquemment utilisés dans les logs de trafic Cisco Firepower FTD.

Résultat attendu :

Graphique circulaire Kibana affichant les ports de destination les plus utilisés dans les logs de trafic Cisco FTD — Graphique circulaire affichant les ports de destination les plus fréquemment utilisés dans les logs de trafic Cisco FTD.

Cliquez sur Add panel, puis sélectionnez Visualization :

Configurez la visualisation Pie en utilisant network.transport comme champ de découpage et Records comme métrique :

Ajoutez un second champ de découpage, puis sélectionnez destination.port et classez les principales valeurs par Firewall flows :

Configuration d’un graphique circulaire Kibana Lens affichant destination.port comme champ de découpage classé par firewall flows — Configuration du graphique circulaire pour afficher les principaux ports de destination à partir des logs de trafic Cisco FTD.

Principales adresses IP bloquées

L’objectif est d’identifier les adresses IP les plus fréquemment bloquées par le pare-feu Cisco Firepower FTD.

Résultat attendu :

Nuage de mots Kibana affichant les adresses IP les plus fréquemment bloquées par Cisco FTD — Nuage de mots affichant les adresses IP les plus fréquemment bloquées par Cisco FTD.

Cliquez sur Add panel, puis sélectionnez Visualization :

Configurez la visualisation Tag cloud en utilisant cisco.ftd.security_event.src_ip comme champ et une métrique Count filtrée sur le trafic bloqué :

Configuration d’un nuage de mots Kibana utilisant cisco.ftd.security_event.src_ip et une métrique Count filtrée sur le trafic bloqué — Configuration d’un nuage de mots pour afficher les adresses IP les plus fréquemment bloquées par Cisco FTD.

Principales règles de blocage

L’objectif est d’identifier les règles de contrôle d’accès bloquantes qui correspondent au plus grand volume de trafic Cisco Firepower FTD.

Résultat attendu :

Tableau Kibana affichant les règles de blocage Cisco FTD avec le plus grand nombre d’enregistrements correspondants — Tableau affichant les règles de blocage Cisco FTD avec le plus grand nombre d’enregistrements correspondants.

Cliquez sur Add panel, puis sélectionnez Visualization :

Configurez la visualisation Table en utilisant cisco.ftd.rule_name comme champ de ligne et une métrique Count of records filtrée sur le trafic bloqué :

Configuration d’un tableau Kibana utilisant cisco.ftd.rule_name et une métrique Count of records filtrée sur le trafic bloqué — Configuration d’un tableau pour afficher les règles de blocage Cisco FTD avec le plus grand nombre d’enregistrements correspondants.

Conclusion

Vous disposez maintenant d’un dashboard Kibana simple mais utile pour superviser les logs Cisco Firepower FTD avec Elastic Fleet et Elastic Agent. Vous pouvez désormais l’enrichir avec des filtres, des alertes et des visualisations supplémentaires selon vos propres règles firewall et les habitudes de trafic de votre réseau. Maintenant, à vous de jouer !